Wenn wir ein Netzwerk zum ersten Mal anschauen, sieht es oft so aus: Der Router vom Provider, dahinter ein Switch, und an diesem Switch hängt alles. Die PCs der Buchhaltung, der Server, die Drucker, die Videokameras, die Kaffeemaschine mit App und das WLAN, in das sich auch Besucher einwählen. Jedes Gerät sieht jedes andere.
Solange nichts passiert, merkt man davon nichts. Kommt aber ein Angreifer über ein einziges Gerät hinein, etwa eine veraltete Kamera oder den Laptop eines Gastes, steht ihm das ganze Netz offen.
Netz in Bereiche aufteilen
Die wirksamste Massnahme heisst Segmentierung. Das Netzwerk wird in getrennte Bereiche aufgeteilt, sogenannte VLANs, und die Firewall entscheidet, wer mit wem sprechen darf. Für ein typisches KMU reichen meist vier Bereiche:
- Büro für die Arbeitsplätze der Mitarbeitenden.
- Server für Dateiablage, ERP und Datenbanken. Nur die Dienste, die wirklich gebraucht werden, sind von den Arbeitsplätzen aus erreichbar.
- Geräte für Drucker, Kameras, Telefone und alles mit einem Stecker und einer IP-Adresse. Diese Geräte bekommen selten Updates und sollten deshalb möglichst wenig erreichen.
- Gäste mit Internetzugang, aber ohne jeden Zugriff auf das Firmennetz.
Das klingt nach viel Aufwand, ist mit einer aktuellen Firewall und einem verwaltbaren Switch aber meist an einem Tag umgesetzt.
Das WLAN nicht vergessen
Ein Gäste-WLAN mit eigenem Passwort, das regelmässig wechselt, gehört heute zur Grundausstattung. Das Firmen-WLAN verwendet idealerweise WPA3 oder zumindest WPA2 mit einem langen Schlüssel. Noch besser ist eine Anmeldung mit den persönlichen Zugangsdaten jeder Person, dann muss beim Austritt niemand das WLAN-Passwort für alle ändern.
Fernzugriff nur über VPN
Ein häufiger Fehler: Für den Zugriff von zu Hause wurde irgendwann ein Port in der Firewall geöffnet, etwa für den Remote Desktop. Solche offenen Türen werden im Internet laufend automatisch abgesucht. Fernzugriff gehört deshalb hinter ein VPN, und das VPN hinter eine Multi-Faktor-Anmeldung.
Moderne Lösungen wie WireGuard oder NetBird sind schnell, stabil und auf Laptops und Smartphones einfach einzurichten.
Die Firewall pflegen
Eine Firewall ist kein Gerät, das man einmal einrichtet und dann vergisst. Drei Dinge sollten regelmässig passieren:
- Updates einspielen. Gerade bei Firewalls und VPN-Geräten werden immer wieder Lücken bekannt, die aktiv ausgenutzt werden.
- Regeln aufräumen. Freigaben, die vor Jahren für ein Projekt eingerichtet wurden, sind oft noch offen.
- Protokolle auswerten. Am besten automatisch in einem zentralen System, das bei Auffälligkeiten meldet.
Wo anfangen?
Wenn Sie nur eine Sache diese Woche erledigen: Prüfen Sie, welche Ports Ihre Firewall zum Internet hin offen hat, und schliessen Sie alles, was nicht zwingend gebraucht wird. Danach lohnt sich ein eigenes Gäste-WLAN, und als dritter Schritt die Trennung von Büro, Servern und Geräten.
Wir prüfen Ihr Netzwerk gerne vor Ort, zeichnen auf, was wo hängt, und setzen die Trennung so um, dass im Betrieb nichts stillsteht. Mehr dazu unter IT-Sicherheit und Server & Virtualisierung.
Häufige Fragen
Brauchen wir dafür neue Hardware?
Nicht unbedingt. Viele Firewalls und Switches können VLANs bereits, die Funktion ist nur nicht eingerichtet. Ein günstiger Router vom Provider reicht dafür allerdings meist nicht.
Funktioniert das Drucken nach der Trennung noch?
Ja. Die Firewall erlaubt gezielt die Verbindung vom Büro zu den Druckern, aber nicht umgekehrt. Für die Mitarbeitenden ändert sich nichts.
Ist ein offener Remote-Desktop-Port wirklich so gefährlich?
Ja. Solche Ports werden automatisiert gesucht und mit gestohlenen oder erratenen Passwörtern angegriffen. Sie gehören zu den häufigsten Einstiegen bei Ransomware-Angriffen.
Wie oft sollte die Firewall geprüft werden?
Updates so bald wie möglich nach Erscheinen, die Regeln mindestens einmal im Jahr. Bei einem Betreuungsvertrag übernehmen wir beides.
